ARM,GNU汇编程序:如何将“数组”参数传递给execve()?

时间:2015-05-25 10:47:10

标签: linux assembly arm shellcode execve

我正在编写一个简单的shellcode,它会为ARM平台(Raspberry PI上的Linux)调用execve(),并且第二个参数被execve困住了。根据{{​​3}}:

int execve(const char *filename, char *const argv[], char *const envp[]);

如果我打电话给execve("/bin/sh", {NULL}, {NULL});(从集会的角度来看),这对我来说完全是削减的:

.data

.section .rodata

.command:
        .string "/bin/sh"

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =.command
        eor r1, r1 @ temporarily forget about argv
        eor r2, r2 @ don't mind envp too
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

上面的程序集编译得很好,并且在我的测试计算机上运行时会发出一个shell,该计算机的值为/bin/sh。但是,我所有的麻烦都是在特定的目标框本身没有/bin/sh ,但只有busybox的符号链接,这使我必须执行类似{{1}的内容}。

至于我的理解,数组在内存中是连续的,所以我所要做的就是以连续的方式在内存中分配字节,然后将指针提供给我认为是“数组”的开头。考虑到这一点,我尝试了以下内容:

execve("/bin/busybox", {"/bin/busybox", "sh", NULL}, {NULL})
然而,没有成功。尝试使用字节,只需创建一系列字节,填充空字节以对齐4个字节,这也无法正常工作。如果.data .section .rodata .command: .string "/bin/busybox" .args: .ascii "/bin/busybox\0" .ascii "sh\0" .ascii "\0" .text .globl _start _start: mov r7, #11 ldr r0, =.command ldr r1, =.args eor r2, r2 svc #0 mov r7, #1 eor r0, r0 svc #0 标签如下所示:

.args

然后正在执行的程序的.args: .ascii "/bin/sh\0" .ascii "-c\0\0\0" .ascii "ls\0\0\0" .ascii "\0\0\0\0" 如下:

strace

(在编码$ strace ./shell execve("./shell", ["./shell"], [/* 19 vars */]) = 0 dup2(0, 4) = 4 dup2(1, 4) = 4 dup2(2, 4) = 4 execve("/bin/sh", [0x6e69622f, 0x68732f, 0x632d, 0x736c00], [/* 0 vars */]) = -1 EFAULT (Bad address) exit(0) = ? +++ exited with 0 +++ 之前,首先尝试在测试机上执行/bin/sh -c ls

我运行了一个类似的C程序,然后调试它以查看它是如何完成的。传递给/bin/busybox sh的位置似乎包含一串指向字符串的指针然后自然地为0x00:

r1

问题 现在我想出了内存是如何布局的,如何在汇编中准备这样的布局,并在ARM汇编用语中将第二个参数正确地传递给(gdb) x/4xw 0xbefff764 0xbefff764: 0x000105d0 0x000105d8 0x000105dc 0x00000000 ... snip ... (gdb) p argv $3 = {0x105d0 "/bin/sh", 0x105d8 "-c", 0x105dc "ls", 0x0} 作为“数组”?

2 个答案:

答案 0 :(得分:5)

天哪,我刚刚提出这个...几个小时的摆弄,然后在发布我自己的问题后2分钟,一个答案击中了我......橡皮鸭调试工作。

.data

.section .rodata

command:
        .string "/bin/sh"

arg0:  
        .string "/bin/sh"

arg1:  
        .string "-c"

arg2:  
        .string "ls"

args:  
        .word arg0
        .word arg1
        .word arg2
        .word 0

.text

.globl _start

_start: 
        mov r7, #11
        ldr r0, =command
        ldr r1, =args
        eor r2, r2
        svc #0

        mov r7, #1
        eor r0, r0
        svc #0

答案 1 :(得分:1)

您可以使用堆栈指针来传递参数。启动程序时,第一个参数(arg [1])将在sp + 8中。

shell.s:

    .text
    .globl _start
    _start: 
        .code 32
            add r3,pc,#1
            bx r3
        .code 16
            ldr r0, [sp, #8] @ load argv[1] to r0
            add r1, sp, #8   @ set &argv[1] to r1
            eor r2, r2       @ set NULL to r2
            mov r7, #11
            svc #1

此代码与下一个c代码相同:

#include <unistd.h>

int main(int argc, char *argv[])
{
    execve(argv[1], &argv[1], NULL);
    return 0;
}

第三个参数是envp,可以将其设置为NULL。

要启动/ bin / sh:

shell /bin/sh

我希望这对某人有帮助